23 декабря 2015 года, чуть за полдень по киевскому времени. Канун католического Рождества. Сотрудники трёх украинских энергораспределительных компаний — Прикарпатьеоблэнерго и двух соседних — заняты обычной предпраздничной рутиной. Никто не подозревает, что в их сети уже почти полгода живут чужие.
В 15:35 диспетчер одной из подстанций видит то, что не должен видеть никогда: курсор на экране SCADA-системы двигается сам. Без его рук. Он тянется к мыши, чтобы перехватить управление — курсор уже не слушается. Кто-то методично, один за другим, открывает выключатели на десятках подстанций. Свет гаснет в домах 230 000 жителей двух областей Украины.
Пока диспетчеры пытаются понять, что происходит, в трубках их телефонов раздаются звонки — сотни звонков подряд. Это не встревоженные жители. Это автоматический скрипт, который специально завалил call-центр компании фейковыми вызовами, чтобы настоящие клиенты не могли сообщить об отключении и получить ответ.
ПОЧЕМУ ЭТО ИСТОРИЧЕСКОЕ СОБЫТИЕ
До 23 декабря 2015 года ни одна кибератака в мире не отключала электричество реальным людям. Stuxnet ломал центрифуги — но это были промышленные машины, а не дома обычных граждан. Атака на украинскую энергосистему стала первой публично подтверждённой кибератакой, погасившей свет в жилых кварталах.
Группировка, стоящая за атакой, получила имя Sandworm — те же хакеры, которых спустя полтора года свяжут с NotPetya. Атрибуция указывает на подразделение Главного управления Генштаба ВС РФ (ГРУ), специализирующееся на кибероперациях.
Supervisory Control and Data Acquisition — системы диспетчерского управления, через которые операторы дистанционно следят и управляют промышленным оборудованием: подстанциями, насосами, заводскими линиями. Захват контроля над SCADA означает физическое управление реальной инфраструктурой — буквально щёлкать выключателями на расстоянии в сотни километров.
ГОД ПОДГОТОВКИ ДО ОДНОГО ЩЕЛЧКА
Самым пугающим в этой атаке оказалось не оборудование, а терпение. По данным расследования SANS и E-ISAC, хакеры провели внутри сетей энергокомпаний месяцы скрытой разведки — изучали топологию подстанций, находили учётные данные операторов, разбирались в том, какое программное обеспечение для удалённого доступа используется (Famatech Radmin), и буквально учились нажимать те же кнопки, что и настоящие диспетчеры.
Электричество вернулось через 1–6 часов — но не благодаря автоматике. Операторам пришлось физически приезжать на подстанции и включать рубильники руками, потому что удалённое управление было скомпрометировано и недоступно.
«Сильнейшая способность атакующих заключалась не в выборе инструментов, а в умении проводить долгосрочную разведку, необходимую для изучения среды и исполнения высокосинхронизированной многоэтапной операции.»
— SANS / E-ISAC, отчёт по анализу атаки на украинскую энергосистему, март 20162016: ВТОРОЙ РАУНД, БЕЗ ЛЮДЕЙ ЗА КЛАВИАТУРОЙ
Ровно через год, 17 декабря 2016 года, Sandworm нанёс новый удар — на этот раз по подстанции передающего уровня в Киеве. Свет погас всего на час и затронул лишь пятую часть города — куда меньше, чем в 2015-м. Но специалисты по безопасности пришли в ужас не от масштаба, а от инструмента.
Это принципиально иной уровень угрозы: Industroyer — первый известный вредоносный код, написанный специально для прямого взаимодействия с промышленными протоколами электросетей (IEC-101, IEC-104, IEC 61850). Атака 2015 года была управляемым вручную вторжением. Атака 2016-го — это уже почти автономное цифровое оружие, заточенное конкретно под энергоинфраструктуру.
ХРОНОЛОГИЯ
МАСШТАБ
ПОЧЕМУ ЭТО ВАЖНО ДЛЯ ВСЕГО МИРА
Украина стала испытательным полигоном. Аналитики единодушны: то, что было опробовано на украинской энергосистеме, рано или поздно будет применено где-то ещё. Уже в октябре 2022 года, по данным Mandiant, Sandworm нанёс новый удар по энергоинфраструктуре украинского города — на этот раз синхронизировав кибератаку с массированным ракетным обстрелом, используя 84 крылатые ракеты и 24 беспилотника как информационное прикрытие для цифровой операции.
Это уже не отдельная кибератака — это элемент гибридной войны, где цифровое оружие работает в одной связке с физическим.
